crypto24

正体と来歴

Crypto24 は Public Data Storage の名でも追跡されるランサムウェアグループである [s6]。Halcyon は、2025年4月に追跡対象として現れたが活動は2023年後半にさかのぼり、最初の攻撃は2024年初頭だったと整理している [s6]。Picus Security も出現時期を2023年後半としている [s7]。RansomLook の記録上の初出は 2025-04-08 である。運営形態は RaaS で、2024年7月から RAMP フォーラムでアフィリエイトを募り、素早い収益を宣伝した [s6]。報酬体系は標準的な利益配分型で、中核チームが取り分を保持する [s6]。多言語（英語・ドイツ語）のインフラから東欧起源と評価され、メンバーは活動停止したランサムウェアグループの出身者とみられる [s6]。CMSTPLUA UAC バイパスが BlackCat/ALPHV や LockBit と共通しており、ツールか知見の共有が示唆される [s6]。

手口

初期侵入の主経路は侵害された VPN 認証情報の悪用（T1078）で、フィッシングによる認証情報の窃取や公開された外部リモートサービスの悪用（T1133）も挙げられている [s6]。侵入後、Trend Micro は既定の管理者アカウントの再有効化と、汎用的な名前の新規アカウントの作成および Administrators への追加を確認した [s4]。偵察には WMIC と net コマンドを使い、横展開には PsExec と AnyDesk、RDP を使う [s4]。RDP は fDenyTSConnections の書き換えと TCP 3389 の許可ルール追加で有効化し、Advanced IP Scanner 3.9.1 も導入した [s7]。Halcyon は TightVNC の利用も挙げている [s6]。防御回避では RealBlindingEDR の改変版で多数ベンダーの製品を無効化し [s4]、gpscript.exe 経由で Trend Vision One のアンインストーラ XBCUninstaller.exe を実行した事例がある [s4]。VMProtect による難読化も使う [s6]。キーロガー WinMainSvc.dll は「Microsoft Help Manager」、ランサムウェア本体は「Microsoft Runtime Manager」という名のサービスとして登録される [s7][s4]。攻撃は閑散時間帯に行われる [s4]。

暗号化は RSA と AES-128-CTR のハイブリッドで、拡張子は .crypto24、身代金要求文書は Decryption.txt である。Windows と VMware ESXi が対象で、vssadmin によるシャドウコピー削除も行う [s6]。データは Google Drive API で窃取し、1件あたり 200GB から 2TB、最大で 3TB に達した [s6]。Tor のリークサイトにカウントダウン付きで段階的に公開する二重脅迫を採り、支払いは Bitcoin である [s6]。交渉ではテスト復号（1MB 未満の文書1点と5MB 未満の画像1点）に応じ、期限は3日で超過すると価格が上がる [s6]。

連絡手段とリークサイト

RansomLook は連絡手段として session と email を記録している。session は 05627a685204cef278f7c6d90cb8cb0e213bc58e858e9602faffd5c22f1024af79、email は crypto24support[@]pm[.]me と noreply[@]crypto24lab[.]com である。リークサイト（dls）は hxxp://j5o5y2feotmhvr7cbcp2j2ewayv5mn5zenl3joqwx67gtfchhezjznad[.]onion で、停止中と記録されている。Halcyon はこれらに加えて haowieo2839[@]proton[.]me と、qTox ID CCF5C111AA435DB204B25101E4A352B2C26308550C3B085784B59E25E52DEE282A7BE67F0A7C を挙げている [s6]。

標的と主な被害

Trend Micro は、アジア・欧州・米国の大企業を狙い、金融サービス、製造、エンターテインメント、テクノロジーの各業種に集中していると分析した [s4]。Halcyon は製造・ヘルスケア・防衛を主な業種とし、アジア太平洋と米国が中心で、2026年初頭までに約35〜40件の被害を主張したと整理している [s6]。最初の既知の攻撃は2024年1月の欧州の物流企業とされる [s6]。2025年4月には8件の被害を主張し、7月には6件が発生して、マレーシア、米国、イタリアが標的になった [s6]。Halcyon Attack Lookout は2025年4月から12月に12か国で20件を追跡し、米国5件、マレーシア3件、イタリアとシンガポール各2件で、ほかにドイツ、フランス、ベトナム、台湾、アルゼンチン、ウルグアイ、インドネシア、アゼルバイジャンが含まれる [s6]。2025年第4四半期以降は防衛分野を狙い、NATO 関連データの持ち出しも観測された [s6]。

動向

2025年7〜8月に活動のピークを迎え、VMware ESXi 向けの亜種で仮想化環境にも標的を広げた [s6]。2026年1月28日に FBI が募集の場だった RAMP を押収し、短期的な混乱が見込まれるものの、グループは2026年2月時点で活動中とされる [s6]。暗号化処理にはマルチスレッドの競合状態があり、ファイルが複数回暗号化される場合がある [s6]。